Web 2.0 vulnérable au vol de cookie

Robert Graham de l’Errata Security a démontré à l’occasion d’une conférence que certains services Web 2.0 étaient particulièrement vulnérables au vol de cookie de session utilisé par des services tels que Google Gmail, Hotmail ou autre MySpace.

Le système est en fait assez simple et c’est ce qui le rend dangereux ! En utilisant un logiciel tel que Hamster et Ferret, il est possible de sniffer les paquets circulant sur un réseau WiFi public à la recherche de cookies de session Web 2.0.  Il reste ensuite à recopier l’URL présente dans un de ces cookies dans un navigateur pour pouvoir automatiquement afficher à l’écran ce que l’utilisateur initial voyait ; pas besoin de mot de passe ou quoi que ce soit d’autre ! Ce principe n’est pas neuf ; la différence amenée par le Web 2.0 est que ce cookie est non crypté et que toutes les données présentes sont lisibles.

Selon Robert Graham, ceci est dû à l’utilisation d’AJAX qui “divise les différentes tâches entre le serveur Web et le navigateur” rendant certains sites vulnérables à “quelques attaques de la vieille école”.  Pour démontrer ses dires, Robert Graham a tout simplement sniffé un cookie de session Gmail par l’intermédiaire du réseau WiFi public actif dans la salle de conférence.  Ce cookie était celui d’un membre de l’assemblée occupé à lire ses mails durant la conférence.  Robert Graham a ensuite pû afficher le compte Gmail de la victime sur l’écran de projection, sous les yeux stupéfaits de l’assemblée.

Gmail vous offre la possibilité de lire vos mails via une session sécurisée (https), ce qui bloque cette faille du Web 2.0.  Tel n’est toutefois pas le cas pour d’autres services du genre (comme Facebook par exemple).  Le conseil est simple : évitez d’utiliser ce type de service au départ d’une connexion WiFi publique telles que les connexions disponibles dans les gares, les aéroport ou les cyber-cafés !